[devel] devel-kernel; new kernels and l7-filter

["Peter V. Saveliev" <peet@altlinux.ru>]

...

Скажите, а от devel-kernel меня отписали за дело или просто так срез прошёл?

...

Пока что напишу сюда.

Поскольку ядро >2.6.19.7 грядёт неминуемо, то у меня есть на эту тему 
превентивный выстрел в голову мэйнтейнерам ядер.

Я был бы очень рад, если бы вы при сборке новых ядер делали такое некошерное 
действие:

In the Linux kernel config, go to Networking → Networking options → Network 
packet filtering framework (Netfilter) → Core Netfilter Configuration. 
Under "Netfilter connection tracking support", select "Layer 3 Dependent 
Connection tracking (OBSOLETE)". Then go to Networking → Networking options → 
Network packet filtering framework → IP: Netfilter Configuration" and 
enable "Connection tracking netlink interface" (and probably most of the rest 
of the stuff on that page).

(из документации на L7-filter)

...

Обоснование: L7-filter -- довольно мощный инструмент для высокоуровневой 
фильтрации траффика, и он существует в двух вариантах, ядерном и userspace.

Лично мне больше нравится второй, который, несмотря на потерю 
скорострельности, гораздо безопаснее, т.к., работая вне ядра, имеет минимум 
шансов накернить машину при случае.

Однако работа userspace-варианта идёт через netlink connection tracking, а там 
что-то ещё не срослось в библиотеках, и опция ядра "Layer 3 Independent 
Connection tracking" (выставленная по умолчанию), конечно, хороша, но пока 
что а) не приносит мегапользы б) делает работу userspace-варианта L7-filter 
невозможной.

...

Поэтому, если нет иного софта (насколько я помню, такой софт ещё не появился), 
требующего дефолтное поведение новых ядер, то я бы просил временно собирать 
с "Layer 3 Dependent Connection tracking (OBSOLETE)" -- пока библиотеки не 
утрясутся.

-- 
Peter V. Saveliev